CVE-2025-43792

Nome do Software Vulnerável e Versões Afetadas Liferay Portal versões 7.3 GA até a atualização 35 Liferay Portal versões 7.4.0 até 7.4.3.105 Liferay DXP versões 2023.Q3.1 até 2023.Q3.4 Liferay DXP versão 2023.Q4.0 Liferay Portal versões 7.4 GA até a atualização 92

Descrição O aplicativo não obtém corretamente o endereço remoto do site de produção a partir do banco de dados. Isso permite que usuários remotos autenticados exfiltrem dados para um servidor controlado pelo invasor por meio dos parâmetros com liferay exportimport web portlet ExportImportPortlet remoteAddress e com liferay exportimport web portlet ExportImportPortlet remotePort. A exploração bem-sucedida requer que o invasor obtenha o segredo compartilhado do servidor de staging e adicione o servidor controlado pelo invasor à lista branca do servidor de staging.

Recomendações Liferay Portal versões 7.3 GA até a atualização 35: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Liferay Portal versões 7.4.0 até 7.4.3.105: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Liferay DXP versões 2023.Q3.1 até 2023.Q3.4: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Liferay DXP versão 2023.Q4.0: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Liferay Portal versões 7.4 GA até a atualização 92: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.